ข้อมูลรั่วจากระบบเงินเดือนหรือคลาวด์ ใครรับผิดและใครต้องแจ้ง

สำหรับประเด็น “ข้อมูลรั่วจากระบบเงินเดือน” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• ผู้ให้บริการตั้งสิทธิไฟล์เงินเดือนเป็นสาธารณะ ต้องเก็บการตั้งค่าและช่วงเวลาที่เข้าถึงได้
• ผู้ใช้ของบริษัทส่งลิงก์ภายนอกเอง ต้องตรวจสิทธิที่ระบบเปิดให้และการควบคุมของทั้งสองฝ่าย
• ผู้รับช่วงสำรองข้อมูลถูกบุกรุก ต้องตามเส้นทางข้อมูลและเวลาที่แต่ละฝ่ายรับทราบ

ควรตัดสินใจตามลำดับใด

ระบุผู้ควบคุมของชุดข้อมูลก่อน แล้วแยกสิ่งที่ทราบออกจากสิ่งที่ยังตรวจสอบ กักเหตุและประเมินผลต่อสิทธิและเสรีภาพทันที หากเข้าเกณฑ์แจ้งอย่ารอผลแบ่งความรับผิด ระหว่างนั้นให้ทีมสัญญาสงวนสิทธิและขอหลักฐานจากคู่ค้า

ข้อมูลรั่วจากระบบเงินเดือนต้องแบ่งงานอย่างไร

บริษัทเจ้าของกระบวนงาน

HR ระบุประเภทข้อมูลและกลุ่มผู้ได้รับผลกระทบ ทีมรับมือเหตุประเมินความเสี่ยงและจัดทำการแจ้ง ผู้บริหารอนุมัติมาตรการที่ต้องใช้ทรัพยากร โดยกำหนดคนสำรองหากผู้รับผิดชอบไม่อยู่

ผู้ให้บริการระบบ

ขอเวลาเริ่มเหตุ รายการระบบที่เกี่ยวข้อง หลักฐานการเข้าถึง และมาตรการที่ทำไปแล้ว หากยังไม่รู้จำนวนคนให้ระบุว่าเป็นจำนวนเบื้องต้น ไม่ใช้ความไม่ครบถ้วนเป็นเหตุเงียบ

ผู้รับช่วงประมวลผล

ให้ผู้ให้บริการหลักประสานเก็บหลักฐานและหยุดการแพร่กระจาย ต้องตรวจว่าภาระช่วยเหลือถูกส่งต่อในสัญญาหรือไม่ แต่ไม่ควรรอข้อถกเถียงเรื่องสัญญาก่อนกักเหตุ

รายการค่าใช้จ่าย

แยกค่าสืบสวน กู้ระบบ ติดต่อผู้ได้รับผลกระทบ และค่าใช้จ่ายทางกฎหมาย เก็บเหตุผลที่จำเป็นและใบเสร็จ เพื่อพิสูจน์ความสัมพันธ์กับเหตุเมื่อเรียกจากคู่ค้า

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 37 (4) กำหนดให้ผู้ควบคุมแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย มาตรา 40 (2) เป็นหน้าที่แจ้งกลับของผู้ประมวลผล ไม่ได้ให้ผู้ประมวลผลใช้กรอบ 72 ชั่วโมงโดยอัตโนมัติ

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

การแจ้งทันเวลาไม่ได้ตัดสินว่าใครผิด และการที่คู่ค้ายอมรับผิดไม่ลบหน้าที่แจ้งของบริษัท เจ้าของข้อมูลอาจร้องเรียนหรือเรียกค่าสินไหมตามมาตรา 77 เมื่อเข้าองค์ประกอบ ข้อจำกัดความรับผิดในสัญญาระหว่างบริษัทกับคู่ค้าไม่ผูกพันสิทธิของเจ้าของข้อมูลโดยอัตโนมัติ

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ลำดับเวลารับแจ้งพร้อมอีเมล Ticket และผู้รับข้อความ
• Log ต้นฉบับ รายการไฟล์และสิทธิที่ใช้ในช่วงเกิดเหตุ
• บันทึกประเมินความเสี่ยงและเหตุผลของการแจ้งหรือไม่แจ้ง
• DPA ขอบเขตบริการ และบัญชีค่าเสียหายพร้อมเอกสารการจ่าย

จุดที่ควรตรวจเพิ่มคือลำดับเวลารับแจ้งพร้อมอีเมล Ticket และผู้รับข้อความ เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ปิดช่องทางรั่วและตั้งผู้ประสานงานหนึ่งรายต่อองค์กร	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ตรวจช่องว่างในสัญญาและติดตามข้อมูลเหตุที่ยังขาด โดยไม่เลื่อนหน้าที่แจ้งที่ถึงกำหนด	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทบทวนสิทธิและซ้อมรับเหตุที่เริ่มจากผู้รับช่วง	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

การเขียนว่าเป็นเหตุของคู่ค้าแล้วปิด Ticket ฝั่งบริษัททำให้ไม่มีใครประเมินผลต่อพนักงาน ต้องแยกการแก้ระบบออกจากการคุ้มครองบุคคลที่ข้อมูลหลุด

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านข้อสัญญาแจ้งเหตุข้อมูลรั่วจากคู่ค้า ควรกำหนดกี่ชั่วโมง และคู่ค้าทำข้อมูลรั่ว เรียกค่าเสียหายคืนได้ไหม และต้องพิสูจน์อะไร

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านข้อมูลรั่วจากคู่ค้าหรือผู้ให้บริการ ใครมีหน้าที่แจ้งเหตุประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 37 (4) กำหนดให้ผู้ควบคุมแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย มาตรา 40 (2) เป็นหน้าที่แจ้งกลับของผู้ประมวลผล ไม่ได้ให้ผู้ประมวลผลใช้กรอบ 72 ชั่วโมงโดยอัตโนมัติ

คำถามที่พบบ่อย

คู่ค้าแจ้งสำนักงานแทนได้ไหม

อาจช่วยดำเนินงานตามที่มอบหมายได้ แต่ต้องระบุผู้ควบคุมและผู้รับผิดชอบให้ถูกต้อง การมอบหมายไม่ทำให้หน้าที่ของบริษัทหายไป

ข้อมูลเงินเดือนรั่วต้องแจ้งพนักงานทุกครั้งไหม

ต้องประเมินว่ามีความเสี่ยงสูงต่อสิทธิและเสรีภาพหรือไม่ ไม่ควรตัดสินจากชื่อประเภทข้อมูลเพียงอย่างเดียว

รอรายงานสืบสวนฉบับสมบูรณ์ก่อนได้ไหม

ไม่ควรรอจนพลาดหน้าที่ตามกฎหมาย ให้ดำเนินการจากข้อเท็จจริงที่มีและเพิ่มเติมข้อมูลตามหลักเกณฑ์การแจ้งเหตุ

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ